Sei già un cliente NinjaOne? Effettua il login per visualizzare le altre guide e gli ultimi aggiornamenti.

Configurazione di NinjaOne SAML in Okta

Argomento

Questo articolo descrive come integrare l'applicazione Okta con NinjaOne utilizzando il Security Assertion Markup Language (SAML).

Ambiente

  • Integrazioni NinjaOne
  • Okta

Descrizione

Il protocollo SAML consente ai tecnici di accedere all'applicazione NinjaOne tramite Single Sign-On (SSO) con il proprio provider preferito. Il protocollo SAML può essere utilizzato sia con l'applicazione web NinjaOne standard che con quella personalizzata, che supporta più Provider di identità. Per ulteriori informazioni sull'utilizzo del protocollo SAML con NinjaOne, consultare Gestione dell'autenticazione delle identità NinjaOne: Informazioni sul protocollo SAML (Security Assertion Markup Language) avviato dall'IDP.

Indice

Integrazione SAML di NinjaOne

Prerequisiti

Assicurarsi che per ogni utente SSO in NinjaOne esista un indirizzo e-mail corrispondente in Okta.

NinjaOne non supporta le funzionalità "Importa utenti" e "Importa aggiornamenti del profilo" di Okta tramite SSO o SCIM di NinjaOne.
  • Se si utilizza un URL di branding, assicurarsi che sia il nome di dominio personalizzato che quello nativo siano specificati nella configurazione dell’integrazione con Okta. In questo modo entrambi saranno impostati come URL del servizio di consumo delle asserzioni (ACS).
  • Se si intende utilizzare l’opzione di bypass dell’autenticazione a più fattori (MFA) per l’accesso a NinjaOne:
    • Configurare i criteri di autenticazione in Okta per eseguire l’autenticazione a più fattori (MFA) durante l’accesso a Okta.
    • Sarà necessario configurare una proprietà nell’applicazione Okta che faccia riferimento a "session.amr", seguendo le istruzioni riportate in Pass Dynamic Authentication Context | Okta Classic Engine (link esterno). Per impostazione predefinita, NinjaOne è alla ricerca di un attributo SAML denominato "amr" che dovrebbe contenere il valore "mfa" quando l’utente esegue l’autenticazione a più fattori per la sessione. NinjaOne aggiunge questo attributo per impostazione predefinita all’app, presente nel catalogo Okta Integration Network (OIN).
    • Il bypass dell’autenticazione a più fattori (MFA) avverrà solo per gli account che hanno effettuato l’accesso a Okta tramite autenticazione a più fattori. Se Okta non restituisce l’attributo "mfa" dell’Authentication Methods Reference (AMR), NinjaOne non bypasserà l’autenticazione a più fattori (MFA) nativa di NinjaOne. Verifica la tua politica di autenticazione in Okta per confermare che l’autenticazione a più fattori (MFA) sia richiesta per accedere almeno a NinjaOne, consultando Politiche di accesso alle app | Okta Identity Engine (link esterno). Okta Verify non restituisce un valore AMR pari a “mfa” e richiede un metodo MFA associato per bypassare l’autenticazione a più fattori di NinjaOne. 
  • Se si dispone già di una configurazione SSO di NinjaOne con Okta e si desidera aggiungere la funzionalità SSO avviata dall’IDP, sarà necessario rimuovere e ricreare l’app del provider di identità sia in NinjaOne che in Okta.

Funzionalità supportate

Per altre informazioni sulle funzionalità elencate, consultare il Glossario di Okta. 

  • SSO avviato dall’SP
  • SSO avviato dall’IDP 

Configura SSO in NinjaOne

Consultare Sicurezza dell’accesso: Configura Single Sign-On in NinjaOne per configurare l’SSO per il proprio IDP in NinjaOne. 

  • Nel campo Quali domini e-mail si autenticheranno utilizzando questa integrazione?, aggiungi i domini e-mail degli utenti che si autenticheranno con questo provider di identità. Se lasci questo campo vuoto, qualsiasi utente con un dominio non specificato in un altro IDP verrà reindirizzato a questo provider di identità per impostazione predefinita.
  • In una scheda separata del browser, accedi alla console di amministrazione di Okta per continuare con la configurazione. Lascia aperta la finestra modale “Configura SSO” in NinjaOne.

Crea un’integrazione SAML di NinjaOne in Okta tramite il modello Okta Integration Network (OIN)

Nella console di amministrazione di Okta, è possibile aggiungere l’integrazione SAML di NinjaOne seguendo questi passaggi:

  1. Accedere a Applicazioni → Sfoglia il catalogo delle app. Cercare "NinjaOne" e fare clic sull’applicazione NinjaOne, quindi selezionare Aggiungi integrazione.
  2. Imposta il " Nome visualizzato" con il nome che desideri mostrare agli utenti.
  3. Tornare a NinjaOne e aprire la configurazione dell’IDP. Copiare l’identificatore univoco e incollarlo nel campo Identificatore univoco SP in Okta.
configure sso_unique identifier.png
Figura 1: NinjaOne Configura SSO → Identificatore univoco
  1. Imposta il Nome host principale di NinjaOne sul tuo sito con o senza marchio (ad esempio, “mycompany.rmmservice.com” o “app.ninjarmm.com”). Questo sarà l’URL predefinito utilizzato per gli accessi avviati dall’IdP.
okta sp uid and hostname.png
Figura 2: Modello di rete di integrazione Okta
  1. (facoltativo) Aggiungere il valore del sito con o senza marchio non utilizzato al "Nome host secondario" di NinjaOne come URL alternativo del sito. Il nome host è obbligatorio se si intende accedere alla console NinjaOne tramite un flusso di lavoro avviato dall’SP con il proprio URL secondario. Se l’URL senza marchio è quello secondario, si consiglia di aggiungerlo, poiché i Provider di identità utilizzano occasionalmente l’URL predefinito come intermediario durante il processo di accesso.
  2. Imposta la visibilità dell’applicazione per scegliere se visualizzarla come disponibile per gli utenti o meno, in base alle esigenze della tua organizzazione.
  3. Fare clic su " Fatto" per creare l’applicazione SAML.
  4. Rimanere nella console di amministrazione di Okta e passare alla scheda Assegnazioni dell’app SAML appena creata.
  5. Utilizza il menu a discesa “Assegna” per aggiungere utenti o gruppi di destinazione per l’applicazione.
Assicurati che all’account NinjaOne utilizzato per il provisioning dell’applicazione SAML NinjaOne sia assegnata l’app in Okta. Questo utente deve disporre di un account NinjaOne con un indirizzo e-mail corrispondente.
  1. Accedere alla scheda "Accedi" e copiare l’URL dei metadati.

Completare la configurazione SSO in NinjaOne

Torna alla finestra modale "Configura SSO" in NinjaOne per completare la configurazione dell’SSO.

Durante la configurazione dell’SSO con l’app OIN, il sistema aggiunge l’attributo "amr" per impostazione predefinita. Non è necessario aggiungere questo valore ed è possibile salvare con tutti i valori predefiniti.
  1. In NinjaOne, incolla l’URL dei metadati che hai copiato da Okta nel campo “Importa metadati da modulo” utilizzando l'impostazione predefinita per l'invio dell'URL.
  2. Attiva gli interruttori a levetta "Abilita " in base alle esigenze della tua organizzazione.
configure sso_import metadata and enable toggles.png
Figura 3: NinjaOne Configura SSO → completa il processo di configurazione
  1. Fare clic su " Verifica connessione" per completare il processo di autenticazione finale richiesto per la configurazione.

Una volta che la risposta SAML è stata convalidata con successo, verrà visualizzato un messaggio di conferma: "La connessione è stata convalidata".

  1. Al termine, fare clic su " Salva" .

Configurare NinjaOne SAML con un'app SAML 2.0 personalizzata

Se le funzionalità incluse nel modello OIN di NinjaOne non soddisfano i requisiti di configurazione avanzata della gestione delle identità della tua organizzazione, puoi configurare NinjaOne SAML con un’app SAML 2.0 personalizzata.

Queste istruzioni sostituiscono i passaggi da 1 a 7 della sezione precedente intitolata " Creare un'integrazione SAML di NinjaOne in Okta utilizzando il modello Okta Integration Network (OIN)".
  1. Nella console di amministrazione di Okta, vai su Applicazioni → Crea integrazione app → SAML 2.0.
  2. Inserisci un identificatore univoco come " Nome app " che desideri mostrare agli utenti.
  3. Configurare le impostazioni " Visibilità dell’app " e "Logo dell’app " in base alle esigenze della propria organizzazione e fare clic su Successivo.
  4. In NinjaOne, copiare l’URL di risposta e incollarlo nel campo URL Single Sign-On in Okta. Se si intende utilizzare l’SSO avviato dall’IdP, questo URL verrà utilizzato per reindirizzare gli utenti al sito brandizzato o al sito non brandizzato.
  5. In NinjaOne, copia l’identificatore SP(ID entità) e incollalo nel campo URI del pubblico (ID entità SP) in Okta
  6. Lascia vuoto il campo " RelayState predefinito " e mantieni il formato dell’ID nome su "Non specificata".
  7. Il campo "Nome utente dell’applicazione " per il nome utente Okta può generalmente rimanere con il valore predefinito. Tuttavia, è necessario impostare questo attributo su "Email" se il nome utente Okta non è un indirizzo e-mail. Questo valore deve corrispondere all’indirizzo e-mail presente in NinjaOne.
  8. Lasciare invariato il campo " Nome utente dell'applicazione ".
  9. Facoltativamente, se si desidera bypassare l’autenticazione a più fattori (MFA) nativa di NinjaOne durante l’accesso: nella sezione "Dichiarazioni degli attributi", creare un attributo con il nome "amr" e il valore "session.amr". Per ulteriori informazioni, consultare la documentazione relativa al bypass dell’autenticazione a più fattori (MFA) inclusa nella sezione "Prerequisiti " all’inizio di questo articolo.
  10. Eseguire i passaggi seguenti per configurare l’URL di risposta nativo (esempio: "https://app.ninjarmm.com"), che può essere utilizzato per l’SSO avviato dall’SP e l’autenticazione multifattoriale nativa:
    1. Copia l’identificatore SP (ID entità) dalla finestra modale “Configura SSO” in NinjaOne.
    2. Fare clic su " Mostra impostazioni avanzate " in Okta.  
    3. Incolla l’identificatore SP (ID entità) nel campo Altri URL SSO richiedibili.
    4. Impostare il valore dell’indice su “1”.
okta_other request sso urls.png
Figura 4: App SAML 2.0 personalizzata di Okta → Impostazioni avanzate
  1. Fare clic su Successivo.
  2. Lascia vuoti i campi nella pagina "Feedback" e fai clic su "Fine".
  3. Completa i passaggi da 8 a 10 della sezione " Crea un'integrazione SAML di NinjaOne in Okta utilizzando il modello Okta Integration Network (OIN)". I passaggi in questione sono:
    1. Rimanere nella console di amministrazione di Okta e passare alla scheda Assegnazioni dell’app SAML appena creata.
    2. Utilizza il menu a discesa "Assegna " per aggiungere utenti o gruppi di destinazione per l'applicazione.
    3. Accedere alla scheda "Accedi" e copiare l'URL dei metadati.
  4. Completa tutti i passaggi della sezione " Completare la configurazione SSO in NinjaOne " per terminare il processo di configurazione. 

Verifica degli accessi avviati dall’SP e dall’IDP

Si consiglia di testare entrambi i flussi di accesso avviati dall’SP e dall’IdP con un account di prova prima di modificare i tipi di autenticazione di tutti gli utenti NinjaOne di destinazione da "Nativo" a "Single Sign-on". Ciò eviterà potenziali problemi di accesso all’account NinjaOne. 

Durante il test, è necessario rimanere connessi al proprio account di prova o a un altro account di amministratore di sistema in una scheda standard del browser. Ciò consentirà di ripristinare il tipo di MFA nel caso in cui si verifichino problemi di configurazione.
  1. Accedete a NinjaOne con un account di amministratore di sistema che vi sentite a vostro agio nell’utilizzare per i test e a cui è stato assegnato l’accesso all’app del Provider di identità Okta.
  2. In NinjaOne, fare clic sull’icona dell’avatar nell’angolo in alto a destra della console, quindi fare clic sul proprio nome per aprire le impostazioni utente.
  3. Passare alla scheda "Sicurezza " e selezionare " Single Sign-On" dal menu a discesa "Tipo di autenticazione ". Salvare le modifiche.
account_security_authentication type.png
Figura 5: Seleziona il tipo di autenticazione per il tuo account NinjaOne

Per effettuare la verifica dell’SSO avviato dall’SP

Per verificare l’SSO avviato dall’SP, procedi come segue: 

  1. In una scheda browser privata o in incognito, accedi al sito NinjaOne con o senza marchio. L’URL del sito dipende dalle impostazioni di configurazione del nome host principale e secondario in Okta.
  2. Inserisci il tuo nome utente NinjaOne. Il campo della password dovrebbe scomparire; fai clic su Accedi con Okta. 
sign in with okta.png
Figura 6: Accedi a NinjaOne utilizzando Okta

Verrai indirizzato a Okta per inserire le tue credenziali e, una volta completata con successo l’autenticazione, verrai reindirizzato a NinjaOne. 

Ciò conferma il flusso SSO avviato dall’SP. Se il bypass dell’autenticazione a più fattori (MFA) è abilitato e hai completato l’autenticazione a più fattori tramite Okta, non ti verrà richiesta l’autenticazione a più fattori nativa di NinjaOne. 

Per effettuare la verifica dell’SSO avviato dall’IdP

Per effettuare la verifica dell’SSO avviato dall’IdP, procedi come segue: 

  1. In una scheda privata o in incognito del browser, accedi alla dashboard utente finale di Okta.
  2. Fare clic sull’icona dell’app di NinjaOne situata nella sezione “Le mie app ”. In questo modo si dovrebbe essere reindirizzati alla Dashboard di NinjaOne, da confermare il flusso SSO avviato dall’IdP. 

Se il bypass dell’autenticazione a più fattori (MFA) è abilitato e hai completato l’autenticazione a più fattori tramite Okta, non ti verrà richiesta l’autenticazione a più fattori nativa di NinjaOne. 

Configura SSO per gli utenti esistenti

È possibile configurare l’SSO di Okta per gli utenti NinjaOne esistenti dalla console di NinjaOne. 

  1. Vai su Amministrazione → Account → Tutti gli utenti.
  2. Seleziona i tecnici o gli utenti finali per i quali desideri configurare l'SSO.
  3. Fare clic su Azioni e selezionare Modifica autenticazione.
  4. Impostare il tipo di autenticazione su Single Sign-On (SSO) e fare clic su Salva modifiche per salvare le modifiche.

Il tipo di autenticazione può essere aggiornato anche per singolo utente nella sezione Sicurezza della pagina di configurazione dell’account.

users_change authentication.png
Figura 7: Account utente NinjaOne → Modifica autenticazione

Risorse aggiuntive

Per ulteriori informazioni sui servizi di identità di NinjaOne, consultare Autenticazione e gestione delle identità: Catalogo delle risorse.

Per ulteriori informazioni sull'abilitazione di SCIM per Okta, consultare Configurazione di NinjaOne SCIM in Okta.

Domande frequenti

Passi successivi